د AWS Client VPN تصدیق: د IAM اجازتونه د ننوتلو طریقه نه ده
د کنسول اجازتونه تونل تصدیق نه کوي. د سند، AD او SAML میتودونه پرتله کړئ، بیا وګورئ چې د SSM پورټ لیږد یوې خصوصي ډیټابیس لپاره کله سم دی.
کارن ته اجازه ورکول چې د AWS Client VPN پای ټکی جوړ یا بیان کړي، هغه ته اجازه نه ورکوي چې ورسره وصل شي. دا د هویت دوې بېلې ډلې دي: IAM د AWS API غوښتنې اداره کوي، او پای ټکی یوازې هغه د کارن تصدیق میتودونه مني چې پر هغه تنظیم شوي دي. نو کارن کولای شي پراخې کنسول واکونه ولري او بیا هم هغه څه ونلري چې د VPN کارن یې وړاندې کولای شي. پرېکړه وکړئ چې پای ټکی پر کوم میتود باور کوي، بیا پرېکړه وکړئ چې تاسو چې کومه لاسرسی ورکوئ هغې ته بشپړ تونل سم شکل دی که نه.
د API هویت د تونل هویت نه دی
کله چې یو څوک ووايي «د IAM رول نښلول شوی، نو ولې VPN لا هم ناکامېږي»، ځواب معمولاً دا وي چې د اړیکې په بهیر کې هېڅ ګام هغه رول نه لولي. کارن یو سند، د AD کارن نوم او پټنوم، یا د SAML ادعا وړاندې کوي. پای ټکی له هغو یو تاییدوي او بیا یې یوه پته ټاکي.
IAM لا هم مهم دی، یوازې وروسته او بل ځای: د پای ټکی جوړول، د فرعي شبکو نښلول، د لارو خپرول او د اجازې قواعد لیکل د API کړنې دي. هغه اجازتونه یوازې هغو چلوونکو ته محدود کړئ چې ورته اړتیا لري، د دې پرځای چې هر کارن ته د پای ټکی د لاسرسي قواعدو د بیا لیکلو توان ورکړئ.
د هغو میتودونو له څخه چې پای ټکی یې ملاتړ کوي وټاکئ
AWS Client VPN د سند پر بنسټ متقابل تصدیق، د Active Directory تصدیق او د SAML پر بنسټ فدرالي تصدیق مني. پرته له دې چې کوم کارن میتود وټاکئ د سرور سند اړین دی، او هغه تنظیم چې میتودونه یو ځای کوي د دواړو بریا غواړي، نه د یو.
| Client method | What the user presents | Where the work sits |
|---|---|---|
| Mutual certificate | A client certificate the endpoint trusts | Certificate authority, issuing and revoking per user |
| Active Directory | Domain credentials | Directory reachable from the endpoint's VPC |
| SAML federation | An assertion from an identity provider | IdP application, attribute mapping, client support |
سندونه د نصبولو لپاره تر ټولو ارزانه او په لویه کچه د تېروتنې کولو لپاره تر ټولو اسانه دي، ځکه هر کارن ته سند اړین دی او هر وتل لغوه کول غواړي. د لارښود تصدیق هغه ژوند دوره یوې موجودې سیستم ته لېږي. فدراسیون هغه د هویت برابرونکي ته لېږي او کارن ته د براوزر یو ګام زیاتوي.
د کارن د ډیبګ کولو دمخه د پای ټکی خپله تنظیم ولولئ. که متقابل تصدیق د کارن پر بنسټ میتود تر څنګ فعال وي، هغه کارن چې سم سند لري خو د لارښود حساب نلري بیا هم ناکامېږي، او تېروتنه معمولاً د عمومي لاس ورکولو ستونزې په څېر ښکاري.
فدراسیون د لاسرسي کیليو لېږدول نه دي
د SAML ترتیبات د IAM د لاسرسي کیلي یا د منل شوي رول ټوکن تونل ته نه اچوي. د هویت برابرونکی شخص تصدیقوي، ادعا بیرته ورکوي، او پای ټکی یې د هغه باور چې تاسو تنظیم کړی مني. پایله کې جوړه شوې ناسته VPN ناسته ده، د AWS API ناسته نه ده.
همدا توپیر ټاکي چې څوک څه تشخیص کولای شي. د IdP ستونزې د هر تونل له شتون دمخه د براوزر یا کارن د تېروتنې په څېر ښکاري، پداسې حال کې چې د تونل ستونزې د بریالۍ ادعا وروسته ښکاري. د دواړو کنسولونو له خلاصولو دمخه پوښتنه وکړئ چې تاسو له دغو دوو کوم یو ته ګورئ.
له ننوتلو وروسته هم لارې او اجازه پرېکړه کوي
تصدیق ناستې ته یوه پته ورکوي؛ دا ناستې ته منزل نه ورکوي. د پای ټکی لارې کارن ته وایي چې کومو فرعي شبکو ته ولېږي، د اجازې قواعد پرېکړه کوي چې کوم کارنان کولای شي د هغو فرعي شبکو له څخه کومې ته ورسیږي, او امنیتي ډلې او د هدف خپل اجازتونه پاتې برخه پرېکړه کوي.
له همدې امله هغه کارن چې په بریالیتوب سره تصدیق شو بیا هم کولای شي ډیټابیس ته نه ورسیږي. د فرعي شبکې د لارې جدول نښه، د کارن د ډلې اجازه قاعده او پر هدف امنیتي ډله په همدې ترتیب وګورئ، ځکه هر یو یې بېل ډول د وخت پای ته رسېدل رامنځته کوي.
د یوې خصوصي ډیټابیس لپاره، له پورټ لیږد سره پرتله وکړئ
که ریښتینی کار یوې خصوصي ډیټابیس ته یو تصویب شوی اړیکه وي، بشپړ شبکه تونل اړتیا نه ده، انتخاب دی. AWS Systems Manager Session Manager کولای شي د IAM له لارې یوې اداره شوې نوډ ته د پورټ لیږد ناسته پرانیزي، او هغه نوډ په خصوصي شبکه کې ډیټابیس ته رسېږي. کارن هېڅکله د VPC پته نه ترلاسه کوي. اداره شوې نوډ یوازینی هوسټ کیږي چې د ډیټابیس پورټ ته رسېدلای شي، او معمولاً همدا هغه څه و چې امنیتي بیاکتنې غوښتلي وو. بیا کارنانو ته د VPN پروفایل پرځای ځایي کارن او د ناستې امر اړین دی.
سودا د پوښښ او مخکیني شرطونو ترمنځ ده. د پورټ لیږد لپاره په اداره شوې نوډ کې SSM استازی، له هغې نوډ څخه ډیټابیس ته شبکه لاسرسی، د کارن په ماشین کې Session Manager پلگ ان، او د هماغې ځانګړې ناستې د پیل اجازه اړینه ده. دا هرې فرعي شبکې ته د ننوتلو لار نه ده، او د تونل په څېر خپل سره پروتوکولونه نه وړي.
په هر حال کې د ډیټابیس خپل هویت په خپل ځای وساتئ. د TLS تایید او د ډیټابیس تصدیق له منځه نه ځي ځکه چې لار د IAM لخوا اجازه شوې، او تصویب شوې ناسته د دې په اړه هېڅ نه وایي چې کارن کوم جدولونه لولای شي.
د پوښښ او ژوند دورې له مخې وټاکئ: تونل کله چې ډېرو کارنانو ته ډېر منزلونه اړین وي او تاسو کولای شئ د سند یا لارښود ژوند دوره چل کړئ؛ لیږد ناسته کله چې څو کسانو ته یوه خدمت اړین وي او تاسو نه غواړئ شبکه پتې ووېشئ. په هر حال کې، د تصدیق میتود، د اجازې قاعده او د ډیټابیس ننوتل د درې بېلو حقایقو په توګه ثبت کړئ، ځکه دوی په بېل ډول ناکامېږي.